은행 앱이 열리지 않는다. 카드 결제가 멈춘다. 거래소에는 잔고가 보이지만 출금은 지연된다.
내 돈이 사라진 것은 아니다. 그런데 지금 사용할 수 없다.
이때 우리는 그 돈을 얼마나 안전하다고 느낄까.
금융에서 안전은 계좌에 숫자가 찍혀 있는 것만으로 완성되지 않는다. 필요할 때 접근하고, 거래하고, 회수할 수 있어야 한다. 디지털 금융이 일상 깊숙이 들어올수록 사이버 보안은 돈의 성격을 결정하는 문제가 된다.
최근 함께 주목받은 소식이 있다. PHP의 중대한 취약점, 영국 정부의 식량·물 3일분 비축 권고, 그리고 AI의 보안 능력에 관한 샘 올트먼의 경고다.
이 소식들을 연결해 읽을 이유는 있다. 다만 하나의 사건처럼 묶으면 판단이 흐려진다.
내가 여기서 주목하는 질문은 이것이다.
우리는 시스템이 계속 작동한다는 가정에 얼마나 많은 것을 걸어놓았는가.
영국의 생수와 통조림이 보여주는 것
영국 정부는 10월 22일 ‘Be Ready’ 캠페인을 통해 가정에서 3일분의 생수와 장기 보관 식품을 준비하도록 권고했다. 일상 서비스가 일시적으로 중단될 때를 대비하자는 취지다.
그렇다고 이를 PHP 취약점으로 인한 국가적 마비의 예고로 해석할 근거는 부족하다. 정부 설명에 따르면 이번 캠페인은 악천후 등 여러 비상상황에 대비하는 정책이다. 기존 가정용 대비 지침도 상당 부분 이어받았다.
그럼에도 금융을 보는 사람에게는 익숙한 논리가 있다.
복구될 때까지 버틸 여유를 확보하라는 것이다.
은행이 유동성 여유분을 두고, 기업이 비상자금을 확보하며, 가정이 생수와 식품을 준비하는 일에는 공통점이 있다. 정상적인 흐름이 잠시 끊겨도 당장 무너지지 않도록 시간을 사는 일이다.
모든 것이 순조로울 때 이런 준비는 비효율처럼 보인다. 문제가 생기면 그때부터 가치가 드러난다.
PHP 취약점, 패치가 나왔다는 것과 안전해졌다는 것
PHP는 웹서비스를 구동하는 데 널리 쓰이는 프로그래밍 언어다.
이번에 공개된 주요 취약점 두 건은 영향을 받는 서버에서 공격자가 로그인 없이 코드를 실행할 수 있는 심각한 문제다. 수정본은 10월 21일 배포됐다. CERT-EU는 신속한 업데이트를 권고했고, 바로 적용하기 어렵다면 인터넷에서 격리하는 방안을 검토하라고 안내했다.
여기서 구분해야 할 단계가 있다.
취약점이 발견됐다. 공격자가 그 취약점을 악용했다. 고객 정보가 유출됐다. 고객 자산에 손실이 발생했다.
각 단계는 별도의 증거로 확인해야 한다. 위험을 축소해서도 안 되지만, 가능성을 확인된 피해로 바꿔 말해서도 안 된다.
운영자 입장에서는 수정본이 배포된 뒤에도 일이 남는다. 어떤 서버가 영향을 받는지 찾아내고, 업데이트를 적용하고, 서비스가 정상적으로 작동하는지 검증해야 한다.
내가 우려하는 것은 이 과정에 걸리는 시간이다.
허점을 찾아내는 속도가 빨라질 때, 조직이 그것을 고치는 속도도 함께 빨라질 수 있는가.
AI 시대의 보안 경쟁은 이 간격에서 벌어질 가능성이 크다.
올트먼의 경고는 어디까지 받아들여야 하나
샘 올트먼의 발언은 소셜미디어에서 강한 문장으로 퍼졌다. AI가 하드웨어 수준의 엄청난 버그를 찾고 있으며, 이제 전부 패치하기 어렵다는 내용이다.
공개된 인터뷰 전사문에서는 맥락을 조금 더 신중하게 읽을 필요가 있다. 그는 모델이 발전하면서 기존의 공격 가정을 벗어난 하드웨어 수준의 허점까지 발견할 수 있다는 전망을 말했다. 이어 모든 버그를 수정하는 방식만으로 대응하기 어려워질 수 있으며, AI를 활용한 새로운 방어체계가 필요하다고 주장했다. 특정 하드웨어 결함의 발견 결과를 발표한 대목과는 구분해야 한다.
이 경고는 진지하게 검토할 가치가 있다. 동시에 AI 기업 경영자의 전망이라는 점도 감안해야 한다. 위협이 어느 정도로 현실화되는지, 제안하는 방어 기술이 얼마나 효과적인지는 계속 검증해야 한다.
나는 여기서 경영자의 질문이 달라져야 한다고 생각한다.
“우리 시스템은 안전합니까?”
이 질문에 더해 다음을 물어야 한다.
“문제가 생기면 어디까지 번집니까?”
“고객에게 언제 알릴 수 있습니까?”
“정상으로 돌아오는 데 얼마나 걸립니까?”
보안 수준을 평가할 때 복구 능력까지 확인해야 하는 이유다.
전통금융과 디지털자산이 공유하는 숙제
전통금융에는 번거로운 절차가 많다. 권한을 나누고, 큰 거래에는 복수 승인을 요구하며, 비상시 업무를 이어갈 절차를 만든다.
현장에서 보면 답답한 순간도 있다. 그러나 돈이 움직이는 곳에서 그 번거로움에는 이유가 있다. 실수나 침해가 발생했을 때 손실이 끝없이 확대되지 않도록 하기 위해서다.
디지털자산은 직접 보유하고 이전하며 거래 기록을 검증하는 새로운 가능성을 열었다. 다만 실제 이용 과정에는 블록체인뿐 아니라 거래소, 지갑 프로그램, 웹사이트, 이메일, 개인 기기가 함께 연결된다.
블록체인이 정상 작동하더라도 이용자는 가짜 웹사이트에서 위험한 거래를 승인할 수 있다. 반대로 웹사이트의 취약점이 발견됐다고 해서 블록체인 자체가 뚫렸다고 결론 내려서도 안 된다.
그래서 나는 전통금융과 디지털자산을 비교할 때 기술의 우수성만으로 결론을 내리지 않으려 한다.
어떤 위험을 누가 부담하고, 사고가 발생했을 때 누가 무엇을 할 수 있는가.
자산을 직접 통제할 수 있는 권한과 사고 이후 도움을 받을 수 있는 구조를 함께 살펴야 한다. 어느 쪽을 선택하든 책임의 위치를 이해하는 일이 먼저다.
보안 경고를 이용하는 사람들
CZ도 이번 PHP 취약점과 관련해 웹사이트 이용 시 주의를 당부했다. 다만 이 경고 자체가 특정 거래소의 고객 정보 유출이나 자산 손실을 입증하는 것은 아니다.
이런 상황에서는 경고를 접한 사람의 행동도 중요하다.
“고객님의 자산이 위험합니다.”
“지금 안전 지갑으로 옮기십시오.”
“복구를 위해 인증 정보를 입력하십시오.”
보안 사고가 걱정되는 순간에는 이런 요청이 평소보다 설득력 있게 들릴 수 있다. 급하게 판단하도록 만드는 메시지일수록 확인할 시간을 확보해야 한다.
공식 앱이나 직접 입력한 주소로 공지를 확인하고, 메시지 속 링크를 통한 자산 이동은 멈춰서 검토할 필요가 있다. 지갑 복구문구나 개인키를 요구한다면 제공해서는 안 된다.
웹사이트 운영자라면 호스팅 업체에 서버의 PHP 보안 업데이트 적용 여부를 확인하는 것이 출발점이다. CERT-EU의 권고도 영향을 받는 PHP 자체의 업데이트를 강조한다.
최신 기술을 쓰는 것과 기본적인 확인 절차를 지키는 일은 함께 가야 한다.
투자자가 확인해야 할 세 가지
나는 이번 일을 곧바로 특정 보안기업의 투자 매력으로 연결하는 데는 신중하다. 보안 수요의 증가가 모든 공급자의 이익 증가로 이어진다는 보장은 없다. 기업의 가치와 투자자가 지불하는 가격도 따로 판단해야 한다.
대신 금융회사와 디지털 플랫폼을 평가할 질문이 더 분명해졌다고 본다.
첫째, 접근성이다.
고객은 필요할 때 자금을 사용할 수 있는가. 핵심 서비스가 멈추면 어떤 대체 수단이 있는가.
둘째, 피해를 제한하는 구조다.
한 계정이나 외부 업체의 문제가 전체 시스템으로 확대되지 않도록 권한과 연결을 관리하는가.
셋째, 복구 능력이다.
백업을 보유하는 데서 그치지 않고 실제 복구를 시험했는가. 고객에게 설명하고 정상으로 돌아올 절차가 준비돼 있는가.
AI를 도입해 업무 처리 시간을 얼마나 줄였는지 설명하는 자료는 많다. 그 속도를 감당할 통제와 복구 능력을 보여주는 자료도 필요하다.
금융에서 신뢰는 평온할 때의 편리함으로 쌓이고, 문제가 생겼을 때의 대응으로 검증된다.
앞으로 “내 돈이 안전하다”는 말에는 더 많은 내용이 담겨야 한다.
필요할 때 사용할 수 있고, 사고의 영향을 제한할 수 있으며, 문제가 생겨도 회복할 수 있다는 확신이다.
— KK | KK&FRIENDS
참고 자료
- "PHP 공식 발표" (https://www.php.net/archive/2026.php)
- "CERT-EU: Critical Vulnerabilities in PHP" (https://www.cert.europa.eu/publications/security-advisories/2026-018/)
- "영국 정부: 가정의 비상상황 대비 지침 발표" (https://www.gov.uk/government/news/households-encouraged-to-take-small-simple-steps-to-stay-prepared-in-an-emergency)
- "영국 의회: 3일간의 자급 대비 권고" (https://questions-statements.parliament.uk/written-statements/detail/2026-10-22/hcws409)
- "샘 올트먼 인터뷰 공개 전사문 — 보안 관련 발언 약 19~21분" (https://www.usetranscribe.io/yt/anAmTGcewX8/staying-human)
- "CZ의 PHP 취약점 관련 게시물" (https://x.com/cz_binance/status/2113029289155178716)
본 글은 정보 제공과 개인적 견해를 담고 있으며, 투자 및 보안 자문이 아닙니다. 관련 결정은 최신 정보를 확인한 후 본인의 판단과 책임으로 하시기 바랍니다.